PHPに重大な脆弱性。自社サイトのサーバーも確認を
バグマゲドン対策委員会 · 日本語編集版 · 確認 2026-10-24
PHPの2件の脆弱性は、認証なしでサーバー上のコードを実行されるおそれがあります。修正版が公開済み。23日には、特殊な設定に関係する別の脆弱性への暫定対策も追記されました。
日本語要約・編集：バグマゲドン対策委員会。本記事公開・確認：2026-10-24。
原文発行：CERT-EU / 原文公表：2026-10-20 / 原文更新：2026-10-23。
対象と影響
自社でPHPを管理していなくても、ホームページ、予約・受注システム、PHPを内蔵する製品が対象になり得ます。保守会社・ホスティング会社への確認が必要です。
自社で確認すること
保守担当へ、PHPの利用箇所と修正適用状況を確認する。
- PHP本体とPHPを内蔵する製品を棚卸しする。
- 提供元の修正版を適用し、反映を確認する。更新できない公開システムは隔離を検討する。
- 23日追記の別脆弱性も含め、CERT-EUとPHP公式の最新手順を保守担当と確認する。
攻撃の流れと防御の確認箇所
公開Webサイト → 未修正のPHP → サーバー内で不正実行 → 情報・業務への影響
防御の確認箇所：公開サーバーの修正適用
優先度の考え方
至急確認。認証不要の遠隔コード実行につながるため。2件の公式CVSSは9.2。該当環境の有無で優先度は変わる。
優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。
原文で言及されたCVE
報告の範囲
PHPを使うWeb環境。個別の国別被害件数は示していない。
原文と確認箇所
CERT-EU本文のHistory、Summary、Affected Products、Recommendationsを確認。10/20初版、10/23改訂。
海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。